PT-2026-51601 · Unknown · Openremote

Tulkin Urinbaev + 1 · Publicado 2026-06-23 · Atualizado 2026-06-23 · CVE-2026-56120

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenRemote versões anteriores a 1.25.0

Description Uma referência direta a objeto insegura (IDOR) existe no endpoint de exclusão de alarmes em massa. Isso ocorre porque a função removeAlarms() em AlarmResourceImpl.java não realiza a validação de escopo de realm em sua consulta JPA. Consequentemente, usuários autenticados com permissões de escrita de alarmes podem excluir registros de alarmes pertencentes a outros locatários (tenants) ao fornecer IDs de alarmes sequenciais e arbitrários.

Recommendations Atualize para a versão 1.25.0 ou posterior.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-56120

Produtos afetados

Openremote

Referências · 5

• https://github.com/openremote/openremote/releases/tag/1.25.0 · Correção
• https://github.com/openremote/openremote/security/advisories/GHSA-h3m5-97jq-qjrf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-56120 · Nota de Segurança
• https://vulncheck.com/advisories/openremote-idor-via-bulk-alarm-deletion-endpoint · Nota
• https://twitter.com/VulmonFeeds/status/2069556084939825420 · Publicação no Twitter